La evaluación de riesgos en la empresa

Por: Iván Frías Lizama, socio de Auditoría de EY.

A fin de evaluar el control interno en una empresa, uno debe identificar primero los criterios sobre los cuales se hará la evaluación. COSO emitió un informe que proporciona una definición de control interno y establece criterios que pueden ser usados para evaluar los controles internos de una organización. El informe de COSO, Internal Control—Integrated Framework, contiene la definición de control interno aceptada más ampliamente.

Edición impresa Lee la edición impresa de hoy La portada completa, página por página. Ver edición de hoy →

El informe de COSO define el control interno como un proceso -efectuado por la junta directiva, la gerencia y otro personal de una entidad- diseñado para proporcionar seguridad razonable respecto al logro de objetivos en las tres categorías siguientes: eficacia y eficiencia de las operaciones, confiabilidad de la información financiera, y cumplimiento con leyes y regulaciones.

Uno de los componentes del control interno es la evaluación del riesgo que se basa en la identificación y el análisis de los riesgos relevantes que utiliza la empresa para el logro de sus objetivos, formando la base para determinar cómo se deben administrar dichos riesgos.

Todas las empresas, independientemente de su tamaño, estructura, naturaleza o tipo de industria, encuentran riesgos en todos los niveles de su organización. Los riesgos afectan la habilidad que tiene una empresa para sobrevivir y para competir exitosamente dentro de su industria; para mantener su fortaleza financiera, su imagen pública positiva y la calidad general de sus productos o servicios y su personal. No hay manera práctica de reducir su riesgo a “cero”. De hecho, la decisión misma de establecer un negocio crea un riesgo. La gerencia debe decidir el nivel de riesgo que prudentemente puede aceptar y tratar de permanecer dentro de ese nivel.

El proceso de identificación, análisis y administración de riesgos es un componente crítico de cualquier sistema de control interno eficaz. También debe reconocerse que siempre está presente el cambio y es fundamental para un proceso eficaz de evaluación de riesgo tomar las acciones necesarias para responder a tales cambios.

Para comprender el proceso de evaluación de riesgo a nivel de empresa, se debe considerar factores tales como:

1. Si se han establecido y comunicado los objetivos a nivel de empresa, incluyendo la manera como están soportados por planes estratégicos y complementados a nivel de proceso o de aplicación
2. Si se ha establecido un proceso de evaluación de riesgos que incluya una estimación de la importancia de los riesgos, evaluación de las probabilidades de que ocurran, y determinación de las acciones necesarias
3. Si se han establecido mecanismos para anticipar, identificar y reaccionar a situaciones que puedan tener un efecto fuerte y extenso en la empresa. (Por ejemplo, un comité gerencial de administración de activos/pasivos (ALCO) en una institución financiera, o un grupo de riesgos de comercialización de “commodities” en una empresa manufacturera, entre otros).
4. Si existen mecanismos para anticipar, identificar y reaccionar a eventos rutinarios o a actividades que afecten el logro de los objetivos de la entidad o a nivel de proceso/aplicación.
5. Si el departamento de contabilidad ha establecido procesos para identificar cambios significativos en los principios de contabilidad generalmente aceptados promulgados por las autoridades pertinentes, en el caso del Perú, las normas internacionales de información financiera – NIIF.
6. Si los canales de comunicación están facultados para notificar al departamento de contabilidad los cambios en las prácticas de negocios de la empresa que pueden afectar el método o el proceso de registrar transacciones.
7. Si el departamento de contabilidad tiene procesos para identificar cambios importantes en el entorno operativo, incluyendo cambios regulatorios.

En la evaluación de riesgos se debe obtener objetivos claros para identificar y evaluar riesgos para el logro de los objetivos de la empresa; asimismo, identificar y analizar los mismos para determinar cómo se deben mitigar, considerar la posibilidad del fraude en la evaluación de riesgos y por último evaluar cambios que podrían afectar significativamente el sistema de control interno de la compañía.

Lea también: Contratos NEC: ¿Una opción de éxito para Arequipa?